Brotli远程代码执行漏洞

RecodeX 重构消息，本周披露的Brotli压缩库漏洞被命名为“node2shell”，编号CVE-2026-111497。该漏洞不仅影响Node.js，还可在Python以及其他使用Brotli的应用程序中被利用，意味着受影响范围超出单一运行时环境。目前尚未公布更多技术细节与修复进展。

RecodeX 重构消息，谷歌Brotli解码器存在一处内存破坏漏洞，影响众多解压Brotli压缩数据的程序，包括Bun运行时、Python的Brotli与brotlicffi包，以及配置了Brotli解压功能的Envoy代理。该漏洞编号为CVE-2026-111497，攻击者可利用特制压缩数据造成缓冲区越界写入，破坏程序内存，进而可能引发远程代码执行。

RecodeX 重构消息，OpenAI公布其在红队演练中发现，Brotli压缩库存在未认证远程代码执行漏洞。攻击者可通过发送或回复恶意压缩数据，在受影响系统上执行代码，且无需创建用户账号。该漏洞影响Node.js、Bun、Envoy等内嵌Brotli的软件，未打补丁且接受压缩输入的服务器可能被恶意对端接管。